OSSが抱えるリスクトップ10 OWASPが発表：「既知の脆弱性」「正規パッケージの侵害」など

非営利団体のOWASPは、OSSが抱えるリスクトップ10をまとめた文書「Top 10 Open Source Software Risks」を公開した。

[＠IT]

　Webアプリケーションセキュリティなどの改善活動を推進する非営利団体「The Open Web Application Security Project」（OWASP）は、オープンソースソフトウェア（OSS）が抱えるリスクトップ10をまとめた「Top 10 Open Source Software Risks」のバージョンv0.1を発表した。

　OWASPは「ソフトウェアサプライチェーンにおいてOSSへの依存度が高いにもかかわらず、OSSのリスクを理解し測定する方法が不足している。OSSにおけるリスク管理は、ライセンス管理から始まり、CVE（共通脆弱〈ぜいじゃく〉性識別子）へと発展してきたが、セキュリティ、法律、運用を包含する全体的なアプローチは不十分だ。この文書は、運用およびセキュリティ上のトップリスクを見つけることを目指すものだ」と述べている。

　OWASPが明らかにした、OSSが抱えるリスクトップ10は次の通り。

OSSが抱えるリスクトップ10

（1）既知の脆弱性